En bref : Le bilan TI d’entrée en poste est l’inventaire indépendant des contrats, licences, dépendances et risques informatiques qu’un nouveau CFO, DG ou propriétaire hérite en prenant ses fonctions. Réalisé dans les 90 premiers jours, avant toute décision engageante, il documente un point de départ objectif et devient la preuve d’une diligence exercée dès l’entrée en poste.
Vous venez d’arriver. Vous signez déjà des factures TI dont vous ne connaissez ni l’historique ni la justification. Vous endossez des contrats négociés par votre prédécesseur, des engagements de sécurité pris en votre nom avant votre arrivée, une politique de conformité à la Loi 25 dont vous découvrez l’existence en même temps que son contenu.
Personne ne vous en tient rigueur aujourd’hui. Dans deux ans, la même question devient un jugement porté sur votre propre gestion. La fenêtre pour dresser ce bilan sans froisser personne se referme vite, et elle ne se rouvre pas.
Dans cet article
De quoi hérite-t-on d’un département informatique en arrivant en poste ?
D’abord des contrats : ententes de services, licences logicielles, ententes d’hébergement infonuagique, souvent renouvelées par tacite reconduction depuis des années sans qu’on ait revu ni le prix ni les termes. Un contrat signé par votre prédécesseur vous lie au même titre que s’il portait votre signature.
Ensuite des dettes techniques : systèmes vieillissants, correctifs de sécurité en retard, logiciels dont l’éditeur a cessé le soutien. Rien de tout cela ne se voit sur un état financier. Tout cela finit par coûter cher, en panne, en rançongiciel ou en non-conformité.
Puis des dépendances à des personnes : l’employé qui détient seul les accès administrateurs, le fournisseur externe qui a bâti l’architecture sans jamais la documenter. Si cette personne part, l’organisation perd une capacité qu’aucun contrat n’a prévu de transférer.
Enfin des engagements déjà pris en votre nom : une déclaration à un assureur sur vos mesures de sécurité, une politique de protection des renseignements personnels déposée mais jamais appliquée, un registre des incidents que la Loi 25 vous oblige à tenir. Vous en héritez la responsabilité, pas seulement le dossier.
Cette diligence n’est pas propre à la TI. La Banque de développement du Canada (BDC) l’aborde dans ses guides sur la reprise et le transfert d’entreprise, où la dimension technologique reste souvent le parent pauvre de l’exercice, loin derrière les chiffres financiers et les baux.
Un dernier héritage, plus discret, mérite d’être nommé : les frais de sortie et les clauses de propriété des données. Un fournisseur infonuagique peut facturer l’extraction de vos propres données, ou verrouiller un format qui rend le changement de fournisseur coûteux. Ce genre de clause se lit dans un contrat, elle ne se devine pas dans une facture mensuelle.
Que vérifier en prise de poste, côté informatique, dans les 90 premiers jours ?
Un bilan TI d’entrée en poste tient sur trois blocs de 30 jours. Voici, dans l’ordre, ce que chaque bloc doit produire.
- Jours 1 à 30, cartographier. Dresser la liste complète des contrats TI actifs (fournisseurs, montants, dates de renouvellement), l’inventaire des systèmes en place et un premier repérage des accès à privilèges : qui peut faire quoi, sur quoi.
- Jours 31 à 60, questionner. Rencontrer l’équipe TI, les fournisseurs principaux et, si l’organisation en a un, le responsable de la protection des renseignements personnels. Confronter ce que vous avez cartographié à ce que les gens en disent.
- Jours 61 à 90, documenter et décider. Formaliser le bilan par écrit, identifier les trois ou quatre écarts les plus risqués et les déposer devant le conseil d’administration ou les actionnaires, avec un budget et un échéancier.
Ce calendrier n’a rien de rigide. Une entreprise en processus de vente ou un rachat pressé peut devoir comprimer les trois blocs en quelques semaines. Le principe reste : cartographier avant de questionner, questionner avant de décider.
Quelles questions poser, et à qui, dans les premières semaines ?
Trois questions ouvrent la conversation, chacune adressée au bon interlocuteur :
- À l’équipe TI en place : quels sont les trois systèmes dont une panne arrêterait l’entreprise, et quand a-t-on testé la reprise après sinistre pour la dernière fois ?
- À la finance : quels contrats TI sont en renouvellement automatique dans les douze prochains mois, et à quel prix ?
- Au fournisseur externe, s’il y en a un : qui, chez lui, détient réellement les accès administrateurs de vos systèmes ?
Une question surprend souvent les nouveaux dirigeants par sa simplicité, et par le malaise qu’elle provoque : si toute l’équipe TI partait demain, qui d’autre que ces personnes saurait faire fonctionner l’entreprise. Une réponse floue est en soi un résultat.
Le Centre canadien pour la cybersécurité propose des conseils destinés à la haute direction et aux conseils d’administration pour évaluer leur posture numérique. Les questions ci-dessus s’en inspirent, adaptées à un contexte de prise de poste plutôt qu’à une révision annuelle.
Posez ces questions directement, par écrit si possible, et conservez les réponses. Elles deviennent la matière première du bilan.
Comment savoir si les factures TI que vous signez sont normales ?
Une facture TI est normale quand elle correspond à un parc informatique documenté et entretenu, pas à un chiffre isolé. C’est la question la plus fréquente des nouveaux dirigeants, et la plus mal servie par l’information disponible : un budget TI se lit en chiffres, mais les chiffres seuls ne disent rien de la santé du parc informatique ni des risques qu’il porte. Nous en parlons plus longuement dans Budget TI : vous voyez les chiffres, pas les problèmes.
Un montant élevé n’est pas nécessairement un problème s’il correspond à un parc bien entretenu et documenté. Un montant bas peut cacher une dette technique qui explosera au prochain incident. La seule façon de trancher est de mettre le chiffre en face de ce qu’il achète réellement, système par système, contrat par contrat.
CPA Canada situe la gestion des risques, informatiques compris, parmi les responsabilités qu’un directeur financier ne peut déléguer entièrement à son équipe technique. Signer une facture sans comprendre ce qu’elle couvre n’est pas une simple formalité comptable.
Quelques signaux méritent une question avant la signature plutôt qu’après :
- Une facture qui augmente d’année en année sans qu’aucun service ne s’ajoute.
- Un fournisseur unique qui couvre à la fois l’infrastructure, la sécurité et le soutien, sans regard externe sur aucun des trois.
- Une ligne « divers » ou « frais professionnels TI » récurrente et jamais détaillée.
Aucun de ces signaux ne prouve un problème à lui seul. Ensemble, ou répétés d’un mois à l’autre, ils justifient qu’on aille voir de plus près.
Pourquoi le bilan TI d’entrée en poste doit-il venir de l’externe ?
Parce que l’équipe en place a construit, avec le temps et les moyens qu’elle avait, l’état actuel des choses. Lui demander de juger ce même état, c’est lui demander d’évaluer son propre travail. Ce n’est pas une question de compétence ni de bonne foi, c’est une question de position.
Prendre les commandes sans ce bilan, c’est emménager dans une maison sans avoir visité le sous-sol.
Un regard externe n’a rien à protéger. Il peut aussi porter la voix de ce que votre équipe TI n’ose pas vous dire elle-même, faute d’y être invitée ou par crainte que le message passe mal auprès de la direction précédente. Nous décrivons ce rôle dans Le sous-financement des TI : ce que votre équipe n’ose pas vous dire et dans L’audit indépendant : le porte-voix de votre équipe TI.
Un bilan TI d’entrée en poste bien fait ne cherche pas de coupable. Il documente un état, à une date donnée, sans juger les décisions qui y ont mené. C’est ce qui le rend politiquement possible dans vos 90 premiers jours, et de plus en plus difficile après.
Que faire du bilan une fois en main ?
Trois usages, dans l’ordre où ils se présentent généralement.
D’abord un budget correctif, ciblé sur les écarts les plus risqués plutôt que sur une remise à niveau générale. Vous n’avez pas à tout corriger en même temps, vous devez savoir ce qui attend et ce qui n’attend pas.
Ensuite une conversation avec le conseil d’administration ou les actionnaires, appuyée sur un document daté plutôt que sur une impression. C’est la différence entre dire « je pense que c’est risqué » et déposer un état des lieux écrit, avec ses sources et sa date.
Enfin un point de référence pour l’avenir. Le bilan TI d’entrée en poste devient la mesure zéro à laquelle vous comparerez les progrès dans un an, deux ans. Sans lui, chaque discussion budgétaire future repart de zéro, sans mémoire des écarts déjà identifiés.
Ne rien faire a aussi un coût, simplement moins visible. Les contrats se renouvellent seuls, les accès mal gérés le restent, la dette technique s’alourdit pendant que personne ne la mesure. Reporter le bilan ne fait pas disparaître ce que vous avez hérité, cela repousse seulement le moment où quelqu’un, peut-être vous, devra l’expliquer.
Nouvellement en poste, profitez de la fenêtre : un état des lieux TI indépendant, sans complaisance ni vente liée, qui devient votre point zéro documenté plutôt qu’une impression que vous seul portez.
Pour aller plus loin avec Factero :
- audit informatique indépendant d’entrée en poste
- audit de votre budget TI
- feuille de route TI après le bilan
Foire aux questions
Un bilan TI d’entrée en poste, est-ce la même chose qu’un audit informatique complet ?
Non. Le bilan des 90 premiers jours est un premier passage, plus rapide et plus large, pensé pour cartographier ce que vous héritez et prioriser. Un audit informatique complet approfondit ensuite les zones que le bilan a identifiées comme prioritaires, avec des tests et des vérifications que le calendrier de prise de poste ne permet pas de faire en même temps.
Combien de temps prend un audit informatique complet, en comparaison du bilan de 90 jours ?
Ça dépend de la taille du parc informatique et du nombre de systèmes à couvrir : aucune durée ne s’applique à toutes les organisations. Le bilan d’entrée en poste, lui, tient sur un calendrier fixe de 90 jours, parce qu’il ne cherche pas à tout vérifier en profondeur, seulement à cartographier et prioriser. Un audit complet vient ensuite, sur les zones que le bilan a identifiées, avec un échéancier propre à son ampleur.
Qui doit réaliser un audit informatique, et faut-il que ce soit quelqu’un d’externe à l’organisation ?
Une firme indépendante, sans lien de revente avec un fournisseur de technologie ni commission sur les produits recommandés. L’important n’est pas le titre de la personne, c’est l’absence d’intérêt financier dans les conclusions qu’elle formule. Une équipe interne compétente peut très bien documenter l’inventaire technique ; c’est le jugement porté sur les risques et les priorités qui gagne à venir de l’extérieur.
Faut-il commander ce bilan même si rien ne semble aller mal du côté informatique ?
Oui, et c’est même le bon moment : rien ne semblant aller mal ne veut pas dire que rien ne cloche. La dette technique, les dépendances à une seule personne et les clauses de sortie défavorables ne paraissent sur aucun état financier et ne se signalent pas d’elles-mêmes. Attendre un incident pour les découvrir coûte toujours plus cher que les documenter à froid.
Combien coûte un audit informatique ou un bilan d’entrée en poste ?
Ça varie avec la taille du parc informatique, le nombre de contrats à examiner et le nombre de sites à couvrir : il n’existe pas de tarif uniforme dans l’industrie. La bonne pratique est de demander une proposition chiffrée après une brève conversation de cadrage plutôt que d’accepter un prix forfaitaire annoncé sans connaître l’ampleur réelle du mandat.
